Wielu właścicieli firm ma dziś podobne zagwozdki do rozwiązania: „AI jest świetne, ale czy to nie wyciągnie moich danych na zewnątrz?”. I szczerze - to zdrowa ostrożność. Tyle że w praktyce temat jest dużo mniej straszny, niż się wydaje na pierwszy rzut oka. Zwłaszcza jeśli korzystasz z narzędzi w wersjach firmowych, a nie darmowych kont konsumenckich.
Poniżej rozkładam ten problem po ludzku: co naprawdę dzieje się z danymi, kiedy używasz AI, kiedy ryzyko jest realne, a kiedy praktycznie pomijalne. I co możesz zrobić, żeby spać spokojnie.
AI a „wyciek danych” - skąd ten strach?
AI działa na tekstach, plikach, kodzie, mailach… czyli dokładnie na tym, co w firmie bywa poufne. Więc naturalnie pojawia się obawa: „jak wyślę do modelu umowę albo raport, to czy on to potem zapamięta i odda komuś innemu?”.
W wersjach darmowych odpowiedź brzmi: czasem tak - bo część dostawców może wykorzystywać takie dane do ulepszania modeli.
W wersjach płatnych/enterprise odpowiedź brzmi: z reguły nie. I to z dwóch powodów:
duzi dostawcy (Google, Microsoft, OpenAI, Anthropic) podpisują umownie, że dane klientów biznesowych nie idą na trening modeli bazowych,
te plany mają osobne reżimy prywatności, DPA, kontrolę retencji itd.
Krótko: AI w planie firmowym zachowuje się pod względem danych podobnie jak Google Workspace czy Microsoft 365. A z nich przecież korzystamy masowo od lat.
„Przecież i tak trzymamy dane w chmurze…”
To jest argument, który często zmienia perspektywę.
Większość firm ma dziś:
pocztę w Google lub Microsoft,
dokumenty w Drive/SharePoint,
pliki na OneDrive,
kalendarze i czaty w chmurze.
Czyli już teraz powierzamy tym firmom ogromną część wiedzy firmy. Traktujemy to jako standard: wygodny, bezpieczny, akceptowalny biznesowo.
Z tego punktu widzenia użycie AI od tych samych dostawców nie wprowadza automatycznie nowego rodzaju ryzyka. To nadal ten sam ekosystem, tyle że z nową funkcją.
OK, ale czy moje prompty trenują model?
To najczęstsze pytanie. I słusznie, bo odpowiedź zależy od narzędzia i planu.
Google Gemini
W EOG Google robi jasny podział na „paid services” i resztę. Jeśli masz podpięty billing (nawet w ramach darmowego limitu), to Gemini API i AI Studio działają jako usługi płatne, a wtedy Google deklaruje brak treningu na promptach i odpowiedziach. Podobnie w Gemini for Workspace/Cloud/Code Assist.
OpenAI (ChatGPT i API)
W API oraz w planach ChatGPT Business / Enterprise / Edu dane są poza treningiem domyślnie. Trening może być tylko wtedy, gdy klient wyrazi na to zgodę. Dane mogą być krótko przechowywane do celów bezpieczeństwa.
W zwykłym, darmowym ChatGPT trening jest domyślny - ale można go wyłączyć w ustawieniach.
Anthropic Claude
Tu wydarzyła się największa zmiana w 2025 roku. Anthropic wprowadził trening na danych konsumenckich (Free/Pro/Max, Claude Code), jeśli użytkownik nie zrobi opt-out (wyłączenie zgody w ustawieniach). Retencja w tej wersji może sięgnąć kilku lat.
Za to w wersjach biznesowych i w API trening na promptach klientów jest standardowo wyłączony.
Microsoft / GitHub Copilot
Copilot Business/Enterprise działa w trybie enterprise data protection: kod z prywatnych repozytoriów, prompty i odpowiedzi nie są używane do trenowania modeli bazowych. Przetwarzane są tylko po to, żeby dać sugestię i utrzymać usługę (plus telemetria).
Wniosek prosty jak faktura: jeśli temat danych Cię obchodzi, używaj wersji firmowych. Wersja darmowa ≠ wersja biznesowa.
Opt-in vs opt-out - mały szczegół, duża różnica
Warto rozumieć dwa modele zgody:
Opt-in: dostawca nie używa danych do treningu, dopóki Ty wyraźnie tego nie włączysz.
Opt-out: dane są domyślnie włączone do treningu, a Ty musisz sam to wyłączyć.
Z punktu widzenia firmy opt-in jest bezpieczniejszy, bo „chroni z automatu”. Opt-out wymaga świadomości i kliknięcia w ustawienia.
Co dokładnie dzieje się z danymi po wysłaniu promptu?
Tu wchodzimy w praktykę: retencja, logi, dostęp ludzi. I znowu - kluczowa różnica to wersja konsumencka vs komercyjna.
Gemini
W planach paid/enterprise prompty i odpowiedzi są logowane krótko tylko po to, żeby wykrywać nadużycia i spełnić wymogi prawne. Nie idą na trening.
W wersji konsumenckiej rozmowy mogą być zapisywane w aktywności konta Google i czasem trafiają do human review (zależnie od ustawień).
OpenAI
API i plany Business/Enterprise/Edu mają przewidywalny reżim: brak treningu + retencja operacyjna do ok. 30 dni (chyba że masz umowę zero-retention).
W ChatGPT konsumenckim rozmowy siedzą w historii konta - i mogą służyć ulepszaniu modeli, jeśli nie wyłączysz treningu.
Claude
W konsumenckim Claude po zmianach z 2025 roku domyślna retencja jest bardzo długa, a trening możliwy bez opt-out.
W API/Work retencja jest krótka i dane nie są trenowane.
Copilot
Copilot Business/Enterprise to najbardziej „na żywo” działający model: prompt jest przetworzony do sugestii i nie jest przechowywany jako treść. Zostaje telemetria użycia, ale nie Twój kod.
Jednozdaniowe podsumowanie:
Plan firmowy/API = przetwarzanie do odpowiedzi + krótkie logi bezpieczeństwa, bez treningu.
Plan konsumencki = dłuższa historia, czasem human review, czasem trening.
A co z RODO? Czy mogę wrzucać dane osobowe?
Możesz, ale musisz to robić mądrze.
W wersjach biznesowych/API zwykle wygląda to tak:
Ty jesteś administratorem danych,
dostawca AI jest procesorem,
masz DPA (umowę powierzenia),
dane nie są trenowane,
retencja jest ograniczona.
Czyli to ten sam schemat, co w typowej chmurze biurowej.
Praktyczna checklista RODO przy AI:
masz podstawę prawną,
masz DPA z dostawcą,
minimalizujesz dane (nie wysyłasz zbędnych danych),
ogarniasz transfery poza EOG (SCC/DPF, region EU jeśli dostępny),
robisz DPIA, jeśli dane są wrażliwe lub skala duża.
A czego unikać? Wrzucania danych osobowych do darmowych czatów konsumenckich - szczególnie tam, gdzie trening jest opt-out i retencja długa.
Gdzie są moje dane: UE czy USA?
To pytanie coraz częściej pada w firmach, które mają klientów z większymi wymaganiami.
Tu ważne rozróżnienie: data residency (gdzie dane leżą zapisane) vs data processing (gdzie fizycznie wykonywane są obliczenia).
OpenAI
Od 2025 roku oferuje EU Data Residency. W API możesz tworzyć projekty w regionie Europe, a w Enterprise/Edu ustawiać przechowywanie rozmów i plików w UE. To dziś najbardziej jednoznaczna opcja „UE-only”, jeśli jej potrzebujesz.
Gemini
W enterprise możesz ustawić przechowywanie danych w UE, ale przetwarzanie może być globalne (zależnie od endpointu i routingu).
Claude
Anthropic otwarcie mówi o globalnym routingu. Nie ma gwarancji UE-only compute.
Copilot
GitHub Copilot nie daje twardego SLA na UE-only przetwarzanie.
Za to Microsoft 365 Copilot działa w ramach EU Data Boundary (dla usług objętych boundary), więc tu gwarancje UE są najsilniejsze w świecie biurowym.
Co z tego wynika dla Ciebie?
Jeśli chcesz używać AI bez stresu o dane, to w 90% przypadków wystarczy zdrowy rozsądek i kilka prostych zasad:
Używaj wersji biznesowych/API zamiast darmowych kont konsumenckich.
Sprawdź politykę treningu i retencji konkretnego planu (nie przypuszczaj, że każda wersja jest taka sama).
Zrób porządek w dostępie do danych w Google Workspace / M365 - AI dziedziczy te uprawnienia.
Ustal zasady użycia AI w firmie i przeszkol ludzi (prosto, praktycznie, bez straszenia).
Dla danych naprawdę wrażliwych: anonimizacja albo modele lokalne/hybrydowe.
A jeśli ktoś nie chce wysyłać danych nigdzie?
Też się da.
Jeśli Twoja firma musi zachować pełną tajemnicę danych, albo po prostu wolisz mieć wszystko u siebie, to są lokalne modele AI uruchamiane na własnej infrastrukturze. Jasne, zwykle nie są tak duże jak modele Big Techów, ale w wielu zadaniach robią robotę świetnie: analiza dokumentów, klasyfikacja treści, wyszukiwanie wiedzy, automatyzacja procesów.
Efekt jest taki, że możesz budować „inteligentne funkcje” w firmie bez wypuszczania danych poza swoje serwery.
Punkt końcowy
AI nie jest z definicji ryzykiem dla danych. Ryzykiem jest zły wybór planu i brak zasad.
Jeśli korzystasz z wersji firmowych, masz DPA, rozumiesz retencję i ustawiasz proste reguły gry, to bezpieczeństwo danych w AI wygląda dokładnie tak, jak bezpieczeństwo danych w chmurze, z której już korzystasz.
A jeśli potrzebujesz pełnej izolacji - są modele lokalne.
Jeśli chcesz wdrożyć AI w firmie bez chaosu, ryzyk prawnych i „dzikich” eksperymentów pracowników na darmowych narzędziach, mogę Ci w tym pomóc. W Kodiwo biorę na warsztat Twoje procesy, dane i realne potrzeby, a potem układam z tego sensowną strategię użycia AI: co warto automatyzować, gdzie AI da szybki zwrot, jakie narzędzia wybrać, jak zabezpieczyć dane i jak ustawić proste zasady korzystania dla zespołu. Bez korpomowy, za to z konkretem, który da się wdrożyć.
Napisz do mnie, jeśli chcesz mieć AI pod kontrolą - tak, żeby wspierało biznes, a nie dodawało ryzyk. Zrobimy szybki przegląd sytuacji, ustalimy priorytety i zaplanujemy wdrożenie krok po kroku.
